Storing of significant incident? Zo beoordeelt een telecombedrijf het

Het begrip incident is breed

De Cbw gaat over incidenten die de beschikbaarheid, echtheid, integriteit of vertrouwelijkheid van gegevens of diensten aantasten. Dat hoeft geen aanval te zijn. Volgens de toelichting bij de Regeling cyberbeveiliging EZK vallen ook incidenten door menselijke fouten onder de meldplicht. Een foute configuratiewijziging, een kapotte voeding of een kabelbreuk kan dus ook een incident zijn. De vraag is alleen: is het significant?

Vraag 1: Is het gepland onderhoud?

Een incident is niet significant als het het gevolg is van gepland onderhoud door of namens u, voor zover de onderbreking een voorzien gevolg is van dat onderhoud (artikel 7, derde lid, Regeling cyberbeveiliging EZK).

Let op de grens. Een aangekondigde herstart van een router binnen het onderhoudsvenster valt eronder. Een update die onverwacht het hele platform plat legt, of een onderhoud dat uren uitloopt, valt er niet vanzelf onder. Beoordeel dan verder.

Vraag 2: Raakt het mensen of 112?

Een incident is in elk geval significant als het de dood of aanzienlijke schade aan de gezondheid van mensen veroorzaakt of kan veroorzaken (artikel 7, eerste lid, Regeling cyberbeveiliging EZK). Voor telecomaanbieders is het ook altijd significant als het alarmnummer niet beschikbaar is (artikel 8, onder c). Volgens de toelichting gaat het dan om het deel van de keten waarvoor u verantwoordelijk bent.

Vraag 3: Wordt een telecomdrempel gehaald?

Artikel 8 van de Regeling cyberbeveiliging EZK noemt voor aanbieders van openbare telecomnetwerken en -diensten:

Telecomdrempels voor een significant incident

Soort incident	Drempel
Onderbreking van een openbare elektronische communicatiedienst	Ten minste 50.000 gebruikers getroffen, vier uur of langer
Aantasting van integriteit, vertrouwelijkheid of echtheid van gegevens	Ten minste 1% van de gebruikers, met een minimum van 10.000 gebruikers
Alarmnummer niet beschikbaar	Altijd

Voor een klein telecombedrijf met minder dan 50.000 gebruikers is de eerste drempel niet te halen. Dat betekent niet dat u nooit hoeft te melden; zie vraag 4.

Weet u het aantal getroffen gebruikers niet precies, maak dan een onderbouwde schatting. Leg vooraf vast hoe u gebruikers telt, bijvoorbeeld per aansluiting of per telefoonnummer, en houd dat aan.

Vraag 4: Voldoet het aan de algemene regel?

De drempels uit de regeling zijn situaties waarin een incident "in ieder geval" significant is. Daarnaast blijft de algemene regel van de wet gelden. Een incident is significant als het (artikel 25, tweede lid, Cbw):

• een ernstige operationele verstoring van de diensten of financiële verliezen voor u veroorzaakt of kan veroorzaken; of
• anderen heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade.

Denk aan een storing die een ziekenhuis of meldkamer onder uw klanten raakt, een inbraak waarbij een aanvaller beheertoegang kreeg, of grote belfraude. Ook als de drempels niet worden gehaald, kan zo'n incident significant zijn. Let op het woord "kan": ook een incident dat ernstige gevolgen kán hebben, telt.

Leg de beoordeling altijd vast

Bij elk serieus incident schrijft u kort op:

• wanneer u het ontdekte en wanneer u de beoordeling deed;
• de antwoorden op de vier vragen;
• het aantal getroffen gebruikers (of de schatting) en de duur;
• het besluit: melden of niet, en wie besliste.

Twijfelt u? Dan is melden meestal de veiligste keuze. Kleinere incidenten en bijna-incidenten kunt u ook vrijwillig melden bij het CSIRT (artikel 33 Cbw). Is het wel significant, dan start de termijn van 24 uur vanaf het moment van kennisname; zie de voorbeeldtijdlijn en Meldplicht bij een incident.

Zet de vier vragen op de meldkaart van uw storingsdienst. Zo kan ook de dienstdoende collega 's nachts een goede eerste beoordeling maken.

Veelgestelde vragen

Is een storing van twee uur bij 5.000 klanten meldplichtig?

Niet op grond van de telecomdrempel voor onderbrekingen. Het kan wel significant zijn volgens de algemene regel, bijvoorbeeld als 112 niet werkt of als klanten aanzienlijke schade lijden. Beoordeel het en leg uw afweging vast.

Telt een storing door een fout van een medewerker?

Ja, de oorzaak maakt niet uit. Volgens de toelichting bij de Regeling cyberbeveiliging EZK vallen ook menselijke fouten onder de meldplicht.

Hoe tel ik het aantal gebruikers?

De regels geven geen vaste telmethode. Volgens de toelichting kunnen werknemers van een zakelijke klant als afzonderlijke gebruikers tellen. Leg uw eigen methode vooraf vast en maak een onderbouwde schatting als u het precieze aantal niet weet.